防盗链之--request.getHeader("Referer")

在开发web程序的时候，有时我们需要得到用户是从什么页面连过来的，这就用到了referer。
它是http协议，所以任何能开发web程序的语言都可以实现,比如jsp中是：
request.getHeader("referer");
php是$_SERVER['HTTP_REFERER']。其他的我就不举例了（其实是不会其他的语言）。

js的话就是这样做：javascript:document.referrer
那它能干什么用呢？我举两个例子：
1，防止盗连，比如我是个下载软件的网站，在下载页面我先用referer来判断上一页面是不是自己网站，如果不是，说明有人盗连了你的下载地址。
2，电子商务网站的安全，我在提交信用卡等重要信息的页面用referer来判断上一页是不是自己的网站，如果不是，可能是黑客用自己写的一个表单，来提交，为了能跳过你上一页里的javascript的验证等目的。
使用referer的注意事项：
如果我是直接在浏览器里输入有referer的页面，返回是null（jsp），也就是说referer只有从别的页面点击连接来到这页的才会有内容。

我做了个实验，比如我的referer代码在a.jsp中，它的上一页面是b.htm，c.htm是一个带有iframe的页面，它把a.jsp嵌在iframe里了。我在浏览器里输入b.htm的地址，然后点击连接去c.htm，那显示的结果是b.htm，如果我在浏览器里直接输入的是c.htm那显示的是c.htm

通过在web.xml配置过滤器，然后看request.getHeader("Referer")是否包含主站域名来防止盗链。

注意：第一次直接通过已知URL来访问request.getHeader("Referer")获得的是null需要另行处理

<filter>
   <filter-name>hawkeyeFilter</filter-name>
   <filter-class>com.dianping.orderdish.dbh.infomanage.web.filter.HawkeyeFilter</filter-class>
</filter>

<filter>
   <filter-name>hawkeyeFilter</filter-name>
   <filter-class>com.dianping.orderdish.dbh.infomanage.web.filter.HawkeyeFilter</filter-class>
</filter>

@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
    HttpServletRequest request = (HttpServletRequest) servletRequest;
    String log4jRefreshInterval = request.getServletContext().getInitParameter("test");
    HttpServletResponse response = (HttpServletResponse) servletResponse;
    String referer = request.getHeader("Referer");
    if ((StringUtils.isNotEmpty(referer))
            && (referer.contains("yingyan.sankuai.com") || referer.contains("yingyan.inf.test.sankuai.com") || referer.contains("ssosv.it.test.sankuai.info") || referer.contains("ssosv.sankuai.com"))) {
        filterChain.doFilter(request, response);
    } else {
        request.getRequestDispatcher("error.jsp").forward(request, response);
    }
}